КиберосноваSGRC
BDU:2018-00001
Средний

BDU:2018-00001: Уязвимость процессоров Intel и АRM, вызванная ошибкой контроля доступа к памяти при спекулятивном выполнении инструкций процессора, позволяющая нарушителю раскрыть защищаемую информацию

CVSS v35.6
CVSS v24.4
Пересчитать в калькулятореОткрыть на bdu.fstec.ruК реестру

Детали уязвимости BDU:2018-00001

Описание

Уязвимость процессоров Intel и ARM вызвана ошибкой контроля доступа к памяти при спекулятивном выполнении инструкций процессора. Эксплуатация уязвимости позволяет нарушителю получить доступ к защищенной памяти из программы, не обладающей соответствующими привилегиями путём анализа данных, записываемых в кэш процессора в результате спекулятивного выполнения команд

Что делать с BDU:2018-00001

Уязвимость среднего уровня (CVSS 5.6) — устраните в рамках планового цикла обновлений. Рекомендуемый срок — 30 дней. Оцените применимость к вашей инфраструктуре через список затронутого ПО.

Используйте калькулятор CVSS для пересчёта с учётом вашей среды. Автоматизируйте мониторинг через модуль БДУ ФСТЭК в КиберОснова.

Оценка критичности (CVSS)

v3.1
5.6Средний
Пересчитать →
v2
4.4
Только просмотр
AV:L/AC:H/PR:L/UI:N/S:C/C:H/I:N/A:NAV:L/AC:M/Au:S/C:C/I:N/A:N

CWE — тип уязвимости

CWE-200
CWE-264

CVE — международный идентификатор

CVE-2017-5754
CWE-200
Раскрытие информации

Программа непреднамеренно раскрывает конфиденциальные данные: стек вызовов, пути, credentials.

Как атакуют и что делать ▾

Сценарий атаки

Сервер возвращает стек вызовов, пути к файлам, версии ПО, SQL-запросы в сообщениях об ошибках.

Последствия

Утечка внутренней архитектуры, помогает атакующему планировать дальнейшие шаги.

Рекомендации

Отключите подробные ошибки в production, используйте generic error pages, логируйте на сервере.

Тактики и техники

Манипулирование сроками и состоянием
Несанкционированный сбор информации

Уязвимое ПО (66)

ВендорНазваниеВерсияПлатформа
ООО «РусБИТех-Астра»Astra Linux Special Edition1.5 «Смоленск»Не указана
Intel Corp.Intel Atom-Не указана
Intel Corp.Intel Xeon-Не указана
Intel Corp.Intel Pentium-Не указана
Intel Corp.Intel Core-Не указана
Intel Corp.Intel Celeron-Не указана
ARM LimitedARM Cortex-A75-Не указана
Siemens AGSIMATIC IPC547Eдо R1.30.0Не указана
Siemens AGRUGGEDCOM APEдо 9.4Не указана
Siemens AGRUGGEDCOM RX1400 VPEдо 9.4Не указана
Siemens AGSIMATIC ET 200SP Open Controllerдо 2.6Не указана
Siemens AGSIMATIC Field PG M4до 18.01.08Не указана
Siemens AGSIMATIC Field PG M5до 22.01.05Не указана
Siemens AGSIMATIC HMI Basic Panels 2nd Generationот 14 до 14 SP1 Upd 6Не указана
Siemens AGSIMATIC HMI Basic Panels 2nd Generationот 15 до 15 Upd 2Не указана
Siemens AGSIMATIC HMI Comfort 15-22 Panelsот 14 до 14 SP1 Upd 6Не указана
Siemens AGSIMATIC HMI Comfort 15-22 Panelsот 15 до 15 Upd 2Не указана
Siemens AGSIMATIC HMI Comfort 4-12" Panelsот 14 до 14 SP1 Upd 6Не указана
Siemens AGSIMATIC HMI Comfort 4-12" Panelsот 15 до 15 Upd 2Не указана
Siemens AGSIMATIC HMI Comfort PRO Panelsот 14 до 14 SP1 Upd 6Не указана
Siemens AGSIMATIC HMI Comfort PRO Panelsот 15 до 15 Upd 2Не указана
Siemens AGSIMATIC HMI KTP Mobile Panelsот 14 до 14 SP1 Upd 6Не указана
Siemens AGSIMATIC HMI KTP Mobile Panelsот 15 до 15 Upd 2Не указана
Siemens AGSIMATIC IPC227Eдо 20.01.11Не указана
Siemens AGSIMATIC IPC277Eдо 20.01.11Не указана
Siemens AGSIMATIC IPC3000 SMART V2до SMS-002 1.4Не указана
Siemens AGSIMATIC IPC327Eдо 1.6.3CНе указана
Siemens AGSIMATIC IPC347Eдо SMS-002 1.4Не указана
Siemens AGSIMATIC IPC377Eдо 1.6.3CНе указана
Siemens AGSIMATIC IPC427C-Не указана
Siemens AGSIMATIC IPC427Dдо 17.0x.12Не указана
Siemens AGSIMATIC IPC427Eдо 21.01.08Не указана
Siemens AGSIMATIC IPC477C-Не указана
Siemens AGSIMATIC IPC477Dдо 17.0x.12Не указана
Siemens AGSIMATIC IPC477Eдо 21.01.08Не указана
Siemens AGSIMATIC IPC477E Proдо 21.01.08Не указана
Siemens AGSIMATIC IPC547Gдо R1.21.0Не указана
Siemens AGSIMATIC IPC627Cдо 15.02.14Не указана
Siemens AGSIMATIC IPC627Dдо 19.02.10Не указана
Siemens AGSIMATIC IPC647Cдо 15.01.13Не указана
Siemens AGSIMATIC IPC647Dдо 19.01.11Не указана
Siemens AGSIMATIC IPC677Cдо 15.02.14Не указана
Siemens AGSIMATIC IPC677Dдо 19.02.10Не указана
Siemens AGSIMATIC IPC847Dдо 19.02.10Не указана
Siemens AGSIMATIC IPC827Cдо 15.02.14Не указана
Siemens AGSIMATIC IPC847Cдо 15.01.13Не указана
Siemens AGSIMATIC IPC847Dдо 19.01.11Не указана
Siemens AGSIMATIC ITP1000до 23.01.03Не указана
Siemens AGSIMATIC S7-1500 Software Controllerдо 2.5Не указана
Siemens AGSIMATIC S7-1518-4 PN/DP ODKдо 2.5.2Не указана

Показано 50 из 66

Среды функционирования (4)

ВендорНазваниеВерсияПлатформа
ООО «РусБИТех-Астра»Astra Linux Special Edition1.5 «Смоленск»Не указана
ООО «РусБИТех-Астра»Astra Linux Common Edition2.12 «Орёл»Не указана
АО «НТЦ ИТ РОСА»РОСА Кобальт-Не указана
АО «НТЦ ИТ РОСА»RELS6.xНе указана

Рекомендации по устранению

Возможны следующие меры по устранению уязвимости: -вариант 1: на аппаратном уровне; -вариант 2: на системном уровне; Первый вариант предполагает замену процессора, однако данный вариант трудно реализуем на практике. Наиболее актуален второй вариант, предполагающий установку обновления, выпущенного разработчиками системного программного обеспечения. Рекомендации по устранению представлены на сайтах разработчиков программного обеспечения: http://nvidia.custhelp.com/app/answers/detail/a_id/4609 http://nvidia.custhelp.com/app/answers/detail/a_id/4611 http://nvidia.custhelp.com/app/answers/detail/a_id/4613 http://nvidia.custhelp.com/app/answers/detail/a_id/4614 http://xenbits.xen.org/xsa/advisory-254.html https://01.org/security/advisories/intel-oss-10003 https://access.redhat.com/security/vulnerabilities/speculativeexecution https://aws.amazon.com/de/security/security-bulletins/AWS-2018-013/ https://blog.mozilla.org/security/2018/01/03/mitigations-landing-new-class-timing-attack/ https://webkit.org/blog/8048/what-spectre-and-meltdown-mean-for-webkit/ https://developer.arm.com/support/security-update https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/ADV180002 https://security.netapp.com/advisory/ntap-20180104-0001/ https://support.citrix.com/article/CTX231399 https://support.f5.com/csp/article/K91229003 https://support.lenovo.com/us/en/solutions/LEN-18282 https://www.suse.com/c/suse-addresses-meltdown-spectre-vulnerabilities/ https://www.synology.com/support/security/Synology_SA_18_01 https://source.android.com/security/bulletin/2018-01-01 https://support.apple.com/en-us/HT208394 http://www.huawei.com/en/psirt/security-notices/huawei-sn-20180104-01-intel-en Для программных продуктов Yokogawa Electric Corporation: https://web-material3.yokogawa.com/1/31095/files/YSAR-21-0002-E.pdf?_ga=2.137675248.1184356719.1618805721-85535984.1585215333 Для SIMATIC WinAC RTX (F) 2010 до SIMATIC WinAC RTX 2010 SP3: https://support.industry.siemens.com/cs/ww/en/view/109765109 Для Astra Linux 1.5 «Смоленск»: https://wiki.astralinux.ru/astra-linux-se15-bulletin-20201201SE15 Для Astra Linux 2.12 «Орел»: Или обновление программного обеспечения (пакета xen) до 3.13 или более поздней версии Для ОС РОСА КОБАЛЬТ: http://wiki.rosalab.ru/ru/index.php/ROSA-SA-18-03-15.002

Источники (1)

SLA ФСТЭК №117

30 дней

по базовой оценке CVSS 5.6

Уточните SLA под вашу среду

Базовый балл 5.6 не учитывает инфраструктуру. Задайте Environmental-метрики (CR/IR/AR) в калькуляторе — SLA пересчитается автоматически.

Пересчитать CVSS с учётом среды

Threat Intelligence

SSVC: Немедленно устранить

Эксплуатируется или вероятность крайне высока. Приоритет №1 — устраните в первую очередь.

EPSS — вероятность эксплуатации84.2%

Вероятность эксплуатации в 30 дней (FIRST EPSS)

Информация

Обнаружена

2017-12-22

Опубликована

2018-01-09

Обновлена

2024-05-16

Эксплойт

Данные уточняются

Исправление

Уязвимость устранена

Статус

Подтверждена производителем

Сертификация ФСТЭК

Продукт сертифицирован ФСТЭК России — сертификат №2557 (действует).

Карточка сертификата в реестре СЗИ

Сертификация подтверждает соответствие требованиям по защите информации на момент выдачи и не гарантирует отсутствие уязвимостей.

КиберОснова

Управляйте уязвимостями, а не таблицами

Платформа автоматически подтягивает новые записи из БДУ, привязывает к вашим активам и считает SLA по приказу №117 — без ручного мониторинга.

  • Уязвимости → активы → ответственные — цепочка за минуту
  • SLA-таймеры и эскалация — дедлайны не горят
  • PDF-отчёт для ФСТЭК — за один клик
Попробовать бесплатно

Внешние ресурсы

БДУ ФСТЭК NVD: CVE-2017-5754 MITRE: CWE-200 Каталог CPE (ФСТЭК) Реестр сертифицированных СЗИ ФСТЭК

Связанные уязвимости

BDU:2026-08426
Средний
7.1

Уязвимость функции tcf_pedit_act() модуля act_pedit ядра операционных систем Linux, позволяющая нарушителю вызвать отказ

BDU:2026-08414
Средний
7.8

Уязвимость функции bond_setup_by_slave() компонента bonding driver ядра операционных систем Linux, позволяющая нарушител

BDU:2026-07378
Средний
7.8

Уязвимость функции skb_gro_receive() ядра операционных систем Linux, позволяющая нарушителю, позволяющая нарушителю полу

BDU:2026-07574
Средний
8.8

Уязвимость функции cifs_get_spnego_key() инструмента cifs.upcall пакета cifs-utils ядра операционных систем Linux, позво

BDU:2026-06912
Средний
7.8

Уязвимость функции get_dumpable() ядра операционной системы Linux, позволяющая нарушителю оказать воздействие на конфиде

Источник: Банк данных угроз безопасности информации ФСТЭК России (bdu.fstec.ru). Банк данных создан в соответствии с Приказом ФСТЭК России от 16.02.2015 №9. Данные общедоступны и предоставляются на безвозмездной основе. Оператор: ФАУ «ГНИИИ ПТЗИ ФСТЭК России».

Что добавляет КиберОснова к данным БДУ ФСТЭК

CVSS v4.0 + калькулятор

Единственный бесплатный калькулятор CVSS v4.0 на русском языке

SLA по приказу №117

Автоматический расчёт сроков устранения: 24ч, 7дн, 30дн

EPSS + CISA KEV

Оценка вероятности эксплуатации и статус активных атак

Полнотекстовый поиск

По названию, CVE, CWE, описанию — русский и английский

Связанные уязвимости

Автоматический подбор по затронутому ПО

Мобильная версия

Адаптивный интерфейс для работы с телефона и планшета

Поиск по 85 000+ уязвимостямМодуль БДУ ФСТЭК

Автоматизируйте управление уязвимостями

КиберОснова SGRC: БДУ ФСТЭК + CVSS + SLA по приказу №117 в одном интерфейсе.

Калькулятор CVSS v4.0